Cấu hình quy tắc định trước

• Có những biểu hiện của một tấn công vét cạn có thể xảy ra trong hệ thống.
• Đã phát hiện một hoạt động không điển hình trong một phiên đăng nhập mạng.
• Có những biểu hiện về khả năng xảy ra việc lạm dụng Nhật ký sự kiện của Windows.
• Đã phát hiện các hành động không điển hình thay cho một dịch vụ được cài đặt.
• Đã phát hiện hoạt động đăng nhập không điển hình, sử dụng thông tin đăng nhập hiện rõ.
• Có những biểu hiện của một cuộc tấn công Kerberos forged PAC (MS14-068) có thể xảy ra trong hệ thống.
• Đã phát hiện các thay đổi đáng ngờ trong nhóm Quản trị viên đặc quyền tích hợp.

1. Nhấn nút Thiết lập bên dưới quy tắc.
2. Trong cửa sổ mở ra, hãy chỉ định số lần thử và khoảng thời gian phải thực hiện thao tác nhập mật khẩu để quy tắc được kích hoạt.
3. Nhấn vào OK.

1. Nhấn nút Thiết lập bên dưới quy tắc.
2. Trong mục Phát hiện đăng nhập mạng, hãy chỉ định thời điểm bắt đầu và kết thúc khoảng thời gian.

   Kaspersky Endpoint Security sẽ coi các nỗ lực đăng nhập được thực hiện trong khoảng thời gian được xác định là hoạt động bất thường.

   Theo mặc định, khoảng thời gian không được đặt và ứng dụng không giám sát các lượt thử đăng nhập. Để ứng dụng liên tục theo dõi các lượt thử đăng nhập, hãy đặt khoảng thời gian từ 00 giờ 00– 23 giờ 59. Thời điểm bắt đầu và kết thúc khoảng thời gian không được trùng nhau. Nếu trùng nhau, ứng dụng sẽ không giám sát các lần đăng nhập.

3. Tạo danh sách người dùng được tin tưởng và địa chỉ IP được tin tưởng (IPv4 và IPv6).

   Tạo danh sách người dùng từ Active Directory. Kaspersky Endpoint Security không giám sát các nỗ lực đăng nhập của những người dùng và máy tính này.

4. Nhấn vào OK.

Cửa sổ thuộc tính chính sách sẽ được mở ra.

• There are patterns of a possible brute-force attack in the system.
• There is an atypical activity detected during a network logon session.
• There are patterns of a possible Windows Event Log abuse.
• Atypical actions detected on behalf of a new service installed.
• Atypical logon that uses explicit credentials detected.
• There are patterns of a possible Kerberos forged PAC (MS14-068) attack in the system.

1. Suspicious changes detected in the privileged built-in Administrators group.

1. Nhấn vào Settings bên dưới quy tắc.
2. Trong cửa sổ mở ra, hãy chỉ định số lần thử và khoảng thời gian phải thực hiện thao tác nhập mật khẩu để quy tắc được kích hoạt.
3. Nhấn vào OK.

1. Nhấn vào Settings bên dưới quy tắc.
2. Trong mục Network logon detection, hãy chỉ định thời điểm bắt đầu và kết thúc khoảng thời gian.

   Kaspersky Endpoint Security sẽ coi các nỗ lực đăng nhập được thực hiện trong khoảng thời gian được xác định là hoạt động bất thường.

   Theo mặc định, khoảng thời gian không được đặt và ứng dụng không giám sát các lượt thử đăng nhập. Để ứng dụng liên tục theo dõi các lượt thử đăng nhập, hãy đặt khoảng thời gian từ 00 giờ 00– 23 giờ 59. Thời điểm bắt đầu và kết thúc khoảng thời gian không được trùng nhau. Nếu trùng nhau, ứng dụng sẽ không giám sát các lần đăng nhập.

3. Trong mục Exclusions, hãy thêm người dùng được tin tưởng và địa chỉ IP được tin tưởng (IPv4 và IPv6).

   Tạo danh sách người dùng từ Active Directory. Kaspersky Endpoint Security không giám sát các nỗ lực đăng nhập của những người dùng và máy tính này.

4. Nhấn vào OK.

• Có những biểu hiện của một tấn công vét cạn có thể xảy ra trong hệ thống.
• Đã phát hiện một hoạt động không điển hình trong một phiên đăng nhập mạng.
• Có những biểu hiện về khả năng xảy ra việc lạm dụng Nhật ký sự kiện của Windows.
• Đã phát hiện các hành động không điển hình thay cho một dịch vụ được cài đặt.
• Đã phát hiện hoạt động đăng nhập không điển hình, sử dụng thông tin đăng nhập hiện rõ.
• Có những biểu hiện của một cuộc tấn công Kerberos forged PAC (MS14-068) có thể xảy ra trong hệ thống.

1. Đã phát hiện các thay đổi đáng ngờ trong nhóm Quản trị viên đặc quyền tích hợp.

1. Nhấn vào Thiết lập bên dưới quy tắc.
2. Trong cửa sổ mở ra, hãy chỉ định số lần thử và khoảng thời gian phải thực hiện thao tác nhập mật khẩu để quy tắc được kích hoạt.

1. Nhấn vào Thiết lập bên dưới quy tắc.
2. Trong mục Phát hiện đăng nhập mạng, hãy chỉ định thời điểm bắt đầu và kết thúc khoảng thời gian.

   Kaspersky Endpoint Security sẽ coi các nỗ lực đăng nhập được thực hiện trong khoảng thời gian được xác định là hoạt động bất thường.

   Theo mặc định, khoảng thời gian không được đặt và ứng dụng không giám sát các lượt thử đăng nhập. Để ứng dụng liên tục theo dõi các lượt thử đăng nhập, hãy đặt khoảng thời gian từ 00 giờ 00– 23 giờ 59. Thời điểm bắt đầu và kết thúc khoảng thời gian không được trùng nhau. Nếu trùng nhau, ứng dụng sẽ không giám sát các lần đăng nhập.

3. Trong mục Loại trừ, hãy thêm người dùng được tin tưởng và địa chỉ IP được tin tưởng (IPv4 và IPv6).

   Tạo danh sách người dùng từ Active Directory. Kaspersky Endpoint Security không giám sát các nỗ lực đăng nhập của những người dùng và máy tính này.